声明背后的安全论证：动能、CONOPS 与 DAL

⚠️ 本页为非官方译本。 只有加拿大司法部公布的英文和法文原文具有法律效力。本译本仅用于学习参考，引用时请以官方法规原文为准。

了解标准 922.07 要求作出声明者产出什么——概念运行方案（Notional CONOPS）、最坏情况动能、表 1 的可靠性目标，以及设计保证等级——并了解究竟哪些运行必须走这一流程。

• 你知道该运行的类别：人员在附近及上方的中型无人机运行，或非隔离的超目视视线运行。该标准正是沿这条线划定的。Std 922.07
• 你知道该航空器的最大运行重量，因为整个流程都从它在最坏失效下所携带的能量开始。Std 922.07
• 你知道声明是针对什么作出的：声明中所列的标准 922 要求。CAR 901.194

两类运行：人员在附近及上方的中型无人机目视视线内运行，以及非隔离的超目视视线运行——标准点名的是人口稀疏地区（每平方公里 5 至 25 人）上方的超目视视线运行。Std 922.07

从高层看，它要求对该无人机系统进行一次正式的系统安全评估。其推理说得很直白，值得记住：可以假定 25 公斤以上的物体与人员或有人驾驶航空器相撞会造成重伤或死亡，因此，凡是没有与未参与运行人员保持足够隔离距离的目视视线内运行，都必须通过该评估证明其无人机系统对这些人员造成危害的概率足够低。Std 922.07

离人员更近，也正是这些失效在此更重要的原因：弄清它们的概率与严重程度，才会决定该运行所需的运行限制与缓解措施。Std 922.07

合规从一份概念运行方案（Notional CONOPS）开始。它确定预期的平均运行，为系统的严重程度分类提供依据，并协助失效影响分析。Std 922.07

它有两项性质属于考点。它应当是该无人机系统全部允许运行的超集；并且，当申请人申请预验证声明时，其副本必须作为数据包的一部分提交。Std 922.07

如果 CONOPS 中的某些具体假设被用来降低严重程度分类，那么这些假设必须作为运行限制写入无人机系统操作手册。所给例子十分明确：如果 CONOPS 假定在特定类型的运行中可以使用飞行终止系统、降落伞系统或独立电池，那么这些运行就必须列出一项限制，要求在运行该无人机系统时上述系统已安装并处于可用状态。Std 922.07

这正是通向那些文书的一条线索：安全论证所依赖的假设不能只停留在分析里，它必须传达到驾驶者。Std 922.07 CAR 901.200

该标准的具体安全目标以无人机的最大动能为基础，申请人须确定系统在最坏失效之后可能达到的最大值——一般而言要通过一次航空器级功能危险评估，找出哪一种失效或失效组合会产生最高速度。Std 922.07

该度量有明确定义，而定义本身就是考点：航空器在最大运行重量下的最大线速度。它可以排除旋转部件中的旋转动能，以及油箱与电池中的化学势能。Std 922.07

为什么可以排除，值得用一句话记下，因为干扰项正是攻击这层推理：旋转旋翼与燃油、电池所造成的伤害潜力难以量化，取决于具体坠撞条件；旋翼轻，其能量在很短距离内耗散；化学能源则以燃烧方式缓慢释放，而非爆炸式释放。因此仅用线动能作为损伤潜力的标准化度量，其意图是让安全准则本身足以覆盖其他能量来源。Std 922.07

该度量上有两处界限。标准 922.07 所使用的动能类别上限为 1084 kJ；若申请人认为其无人机系统动能超过 1084 kJ，或在其他能量来源（如上文所述的旋转能或化学能）方面有特殊考虑，宜与加拿大交通部联系。非常规设计——偏重的旋转部件、加压燃料箱、危险品装载——可能使"线动能已足够"这一假设失效，此时必须重新审查安全论证。Std 922.07

一旦确定了最坏情况动能，即可用加拿大航空条例标准 922.07 中的表 1 确定各类失效严重程度对应的可靠性目标。随后通过一次无人机系统级功能危险评估确定具体危险及航空器各系统失效的严重程度分类，再由一次系统安全评估证明该无人机系统按设计满足或超过表 1 的可靠性要求。Std 922.07

这种证明并不限于一种方法：视系统复杂程度，它可以依据使用中经验、加速寿命试验、工程分析、故障树分析，或其他定量与定性可靠性工具。Std 922.07

设计保证是一整套过程，用以评估和审查产品设计，确保其在安全关键条件下按预期工作；对于符合本标准可靠性要求的设计，预期会采用结构化的设计保证方法。Std 922.07

在采用传统航空设计保证等级定义时，表 2 按失效严重程度分类与能量区间给出功能设计保证等级（FDAL）：Std 922.07

分类	目标	低于 700 J	低于 34 kJ	低于 1084 kJ
灾难性	极小可能	FDAL D / Tier 3 Std 922.07	FDAL D / Tier 3 Std 922.07	FDAL C Std 922.07
危险性	极遥远	FDAL D / Tier 3 Std 922.07	FDAL D / Tier 3 Std 922.07	FDAL D Std 922.07
重大	遥远	FDAL D / Tier 2 Std 922.07	FDAL D / Tier 2 Std 922.07	FDAL D Std 922.07
轻微	可能	FDAL D / Tier 1 Std 922.07	FDAL D / Tier 1 Std 922.07	FDAL D Std 922.07
无安全影响	无要求	— Std 922.07	— Std 922.07	— Std 922.07

该表之下有两条规则。DAL 决定严格程度——即验证与确认的类型与数量；并且，凡为满足安全目标而在设计中需要次级系统时，次级系统必须被赋予与主系统相同的 DAL。给备份系统更低的 DAL 并不是本标准的规定。Std 922.07

对于必须符合本标准（922.07）的运行，标准 922.08 并未被特别点名，但这并不意味着遏制被忽略。对遏制能力与飞离缓解措施的分析，预期是在本安全与可靠性评估之内完成的；作出声明者仍须针对飞离危险审查其概念运行方案，并确认这些危险已得到充分缓解。Std 922.07 Std 922.08

按标准所述顺序排列的流程：

• 首先编制概念运行方案，作为全部允许运行的超集；其副本纳入预验证声明的数据包 Std 922.07
• 把降低分类所用的假设作为运行限制写入操作手册 Std 922.07
• 由最大运行重量下的最大线速度确定最坏情况动能，可排除旋转能与化学能，类别的上限为 1084 kJ Std 922.07
• 严重程度分类确定后，从表 1 读取可靠性目标 Std 922.07
• 以系统安全评估证明设计满足或超过这些目标 Std 922.07
• 依表 2 赋予设计保证等级，次级系统与主系统DAL 相同 Std 922.07

问题	答案
哪些运行适用？	人员在附近及上方的中型无人机目视视线内运行；非隔离的超目视视线运行，包括人口稀疏地区（每平方公里 5 至 25 人）上方 Std 922.07
第一步是什么？	概念运行方案（Notional CONOPS）Std 922.07
能量度量是什么？	最大运行重量下的最大线速度，可排除旋转能与化学能 Std 922.07
类别的上限是多少？	1084 kJ Std 922.07
可靠性目标来自哪里？	加拿大航空条例标准 922.07 的表 1，在功能危险评估之后适用 Std 922.07
次级系统的 DAL？	与主系统相同 Std 922.07

症状	可能原因	该怎么办
用某次试验的坠撞速度计算动能	该度量有明确定义	使用最坏失效后最大运行重量下的最大线速度 Std 922.07
"为保险起见"把旋翼能量也算进去	该度量可以排除它，且有理由	除非常规设计，排除旋转能与化学能 Std 922.07
用 CONOPS 假设降低了分类，就把它留在分析里	降低分类的假设即为限制	写入操作手册 Std 922.07
给次级系统赋了低于主系统的 DAL	标准要求同一 DAL	赋予相同的 DAL Std 922.07
因为 922.08 未被点名，就把遏制当作不在范围内	它是在本标准之内评估的	在安全与可靠性评估中分析飞离 Std 922.07

Practise: Declaration safety and reliability

• AC 922-001 s.922.07 — 安全与可靠性
• AC 922-001 s.922.08 — 遏制
• 加拿大航空条例 901.194 — 声明
• 加拿大航空条例 901.200 — 文件